Accordo sul trattamento dei dati (DPA)

Per i dati personali che il Cliente trasmette al Servizio o che il Servizio raccoglie per il Cliente (utenti, materiali del marchio, contenuto delle conversazioni, rilevazioni sul marchio del Cliente), il Cliente è titolare del trattamento e New Map è responsabile del trattamento. Per le proprie finalità (gestione del sito web, contabilità, proprie attività di contatto commerciale) New Map è titolare autonomo del trattamento ai sensi della propria Informativa sulla privacy. I termini usati nel presente documento hanno il significato indicato nell'articolo 4 del GDPR.

New Map tratta i dati personali soltanto su istruzione documentata del Cliente, costituita dai Termini, dal presente DPA e dall'uso che il Cliente fa delle funzioni del Servizio, anche per quanto riguarda i trasferimenti verso paesi terzi, salvo che il diritto dell'Unione o degli Stati membri richieda diversamente; in tal caso New Map informa il Cliente di tale obbligo prima del trattamento, a meno che la legge lo vieti. New Map informa il Cliente senza ritardo se ritiene che un'istruzione violi la normativa sulla protezione dei dati. Le istruzioni che vanno oltre le funzioni del Servizio devono essere date in forma testuale e, se comportano un lavoro aggiuntivo significativo, possono essere addebitate al prezzo di costo. Il Cliente incarica New Map di ricavare statistiche aggregate e prive di elementi identificativi dall'uso del Servizio e dai dati di rilevazione, come descritto nei Termini; tali statistiche non contengono dati personali, non sono mai usate per addestrare un modello di IA di terzi, e i dati identificabili del Cliente sono usati solo per quel Cliente.

New Map: (a) garantisce che le persone autorizzate al trattamento dei dati siano vincolate alla riservatezza; (b) attua le misure di cui all'Allegato 2; (c) ricorre a sub-responsabili del trattamento solo ai sensi della sezione 6; (d) assiste il Cliente, tenuto conto della natura del trattamento, nel rispondere alle richieste degli interessati ai sensi del Capo III del GDPR, inoltrando entro 3 giorni lavorativi ogni richiesta ricevuta e mettendo a disposizione le funzioni e le informazioni necessarie; (e) assiste il Cliente negli adempimenti degli articoli da 32 a 36 del GDPR, comprese le valutazioni d'impatto sulla protezione dei dati e la consultazione preventiva, nella misura in cui New Map disponga delle informazioni; (f) cancella o restituisce i dati ai sensi della sezione 9; (g) fornisce le informazioni necessarie a dimostrare il rispetto dell'articolo 28 e consente gli audit ai sensi della sezione 8; (h) tiene un registro delle attività di trattamento ai sensi dell'articolo 30, paragrafo 2, del GDPR.

New Map notifica al Cliente, senza ingiustificato ritardo e al più tardi entro 48 ore dal momento in cui ne è venuta a conoscenza, ogni violazione dei dati personali che riguardi i dati del Cliente, all'indirizzo email del titolare dell'account del Cliente. La notifica contiene le informazioni di cui all'articolo 33, paragrafo 3, del GDPR nella misura in cui siano note, e viene integrata man mano che emergono i fatti. New Map documenta le violazioni e collabora alle notifiche del Cliente all'autorità di controllo e agli interessati. New Map non notifica autorità o interessati per conto del Cliente, salvo istruzione in tal senso.

Il Cliente concede un'autorizzazione generale per i sub-responsabili del trattamento indicati di seguito. Ciascuno è incaricato con un contratto scritto che impone obblighi di protezione dei dati non meno tutelanti del presente DPA, e New Map resta pienamente responsabile nei confronti del Cliente del loro operato. New Map dà un preavviso di almeno 30 giorni, tramite email al titolare dell'account, prima di aggiungere o sostituire un sub-responsabile; entro tale termine il Cliente può opporsi per motivi ragionevoli legati alla protezione dei dati, le parti cercheranno in buona fede una soluzione e, se non la trovano, il Cliente può recedere dal Servizio interessato alla fine del periodo di preavviso senza penali. I fornitori indicati come titolari autonomi del trattamento non sono sub-responsabili e sono elencati per completezza. «DPF» indica il quadro UE-USA per la protezione dei dati (EU-US Data Privacy Framework); «non verificato» indica che New Map non ha ancora controllato la certificazione attuale del fornitore e, fino a quel momento, si affida alle clausole contrattuali tipo.

Le domande e i contenuti che inviamo ai fornitori di IA sono trattati secondo le loro condizioni commerciali per le API. Anthropic, OpenAI, Perplexity e xAI non usano i dati in ingresso né i risultati delle API per addestrare i propri modelli, e Google applica all'API di Gemini, per gli sviluppatori stabiliti nello Spazio economico europeo, le condizioni sui dati del livello a pagamento, in base alle quali le domande e le risposte non sono usate per migliorare i prodotti di Google. Non consentiamo che i suoi dati siano usati da alcun fornitore per addestrare un modello pubblico.

I dati del Cliente sono conservati nell'UE (Allegato 1, luogo di conservazione). Se un sub-responsabile si trova fuori dallo Spazio economico europeo e non si applica alcuna decisione di adeguatezza, il trasferimento avviene in base al quadro UE-USA per la protezione dei dati (EU-US Data Privacy Framework) per i fornitori statunitensi certificati (verificato sull'elenco ufficiale il 13 ottobre 2026; l'Allegato 3 indica la garanzia applicata a ciascun sub-responsabile) e, per i sub-responsabili non certificati, in base alle clausole contrattuali tipo della Commissione europea (decisione (UE) 2021/914, Moduli 2 e 3), integrate da una valutazione d'impatto del trasferimento e dalle misure di cui all'Allegato 2. Per i dati del Regno Unito si applica l'Addendum del Regno Unito sul trasferimento internazionale dei dati; per i dati svizzeri si applicano gli adattamenti della FADP. Il Cliente autorizza New Map a stipulare tali clausole con i sub-responsabili per suo conto, ove necessario.

New Map fornisce, su richiesta e al massimo una volta ogni 12 mesi, le informazioni ragionevolmente necessarie a dimostrare il rispetto dell'articolo 28: il presente DPA, l'Allegato 2 aggiornato e le certificazioni e le relazioni di audit dei propri fornitori di infrastruttura (ad esempio le relazioni SOC 2 in possesso di Vercel e Supabase). Se ciò non basta, il Cliente o un revisore indipendente vincolato alla riservatezza può controllare i sistemi e i registri rilevanti di New Map con 30 giorni di preavviso, in orario lavorativo, senza interrompere l'attività e a spese del Cliente; dopo una violazione accertata che riguardi il Cliente, a spese di New Map e senza il limite di 12 mesi.

Alla cessazione del Servizio, o prima su richiesta scritta del Cliente, New Map restituisce i dati del Cliente in un formato di uso comune e leggibile da dispositivo automatico e li cancella, comprese le copie presso i sub-responsabili, entro 30 giorni, e su richiesta conferma la cancellazione in forma testuale. I backup cifrati vengono sovrascritti nell'ambito della rotazione dei backup, che dura al massimo 30 giorni. I dati che il diritto dell'Unione o degli Stati membri obbliga New Map a conservare sono mantenuti solo per tale finalità e per tale periodo.

• Riservatezza, controllo degli accessi: accesso ai sistemi di produzione solo per personale designato nominativamente, con account individuali e autenticazione a più fattori; autenticazione a due fattori obbligatoria per ogni accesso di amministratori e del team di New Map e disponibile per ogni utente del Cliente; privilegio minimo; accessi riesaminati a ogni cambio di ruolo; segreti conservati nell'archivio cifrato dell'ambiente del fornitore di hosting, mai nel codice.
• Riservatezza, separazione dei dati: sicurezza a livello di riga nel database, così che i dati di ciascun Cliente siano leggibili solo dagli utenti di quel Cliente e dal Servizio che agisce per loro conto; ambito limitato per cliente in ogni strumento degli agenti.
• Riservatezza, pseudonimizzazione e cifratura: TLS 1.2 o superiore in transito; cifratura a riposo presso i fornitori di database e di archiviazione; token di integrazione cifrati con AES-256-GCM con una chiave custodita solo nell'archivio dell'ambiente; password conservate come hash con salt dal fornitore di autenticazione.
• Integrità: percorsi API firmati e con limitazione della frequenza delle richieste; un controllo anti-bot sui moduli pubblici di accesso, registrazione e contatto, ove attivato; campi di audit (chi, quando) sui record; registrazione delle azioni degli agenti; un registro di sicurezza degli accessi e delle sessioni che ciascun Cliente può consultare nella propria scheda Sicurezza; verifica automatica dei contenuti generati rispetto ai dati del Cliente prima che vengano mostrati.
• Disponibilità e resilienza: infrastruttura gestita e ridondante; database e autenticazione ospitati su AWS in Irlanda (UE); backup del database automatici e cifrati, con ripristino a un momento specifico presso il fornitore, a rotazione entro 30 giorni; limitazione della frequenza contro gli abusi; monitoraggio e allarmi sui guasti.
• Gestione degli incidenti: procedura di risposta documentata, valutazione delle violazioni, notifica ai sensi della sezione 5, riesame successivo all'incidente.
• Processi: registro delle attività di trattamento; verifica della protezione dei dati per le nuove funzioni e i nuovi fornitori; personale formato sulla protezione dei dati; contratti con i sub-responsabili ai sensi dell'articolo 28, paragrafo 4.

New Map può aggiornare queste misure purché il livello di protezione non si riduca. Le misure attuali sono descritte anche nella pagina sulla sicurezza.

La responsabilità ai sensi del presente DPA segue i Termini, fatto salvo l'articolo 82 del GDPR. Il presente DPA è disciplinato dalla legge e dalla giurisdizione indicate nei Termini. In caso di conflitto, il presente DPA prevale sui Termini per il trattamento dei dati personali, e le clausole contrattuali tipo prevalgono sul presente DPA dove si applicano.

Richieste degli interessati, segnalazioni di violazioni, richieste di audit e opposizioni ai sub-responsabili: privacy@thenewmap.ai.